GA-তে Amazon EKS Windows-এ বাগ আছে, কিন্তু দ্রুততম

শুভ বিকাল, আমি আপনার সাথে উইন্ডোজ কন্টেইনারগুলির জন্য AWS EKS (ইলাস্টিক কুবারনেটস সার্ভিস) পরিষেবা সেট আপ এবং ব্যবহার করার অভিজ্ঞতা, অথবা বরং এটি ব্যবহার করার অসম্ভবতা এবং AWS সিস্টেম কন্টেইনারে পাওয়া বাগ সম্পর্কে আপনার সাথে শেয়ার করতে চাই। যারা উইন্ডোজ পাত্রে এই পরিষেবাতে আগ্রহী, অনুগ্রহ করে বিড়ালের নিচে।

আমি জানি যে উইন্ডোজ কন্টেইনারগুলি একটি জনপ্রিয় বিষয় নয় এবং খুব কম লোকই সেগুলি ব্যবহার করে, তবে আমি এখনও এই নিবন্ধটি লেখার সিদ্ধান্ত নিয়েছি, যেহেতু কুবারনেটস এবং উইন্ডোজে হ্যাব্রেতে কয়েকটি নিবন্ধ ছিল এবং এখনও এমন লোক রয়েছে।

Начало

আমাদের কোম্পানির পরিষেবাগুলিকে কুবারনেটসে স্থানান্তর করার সিদ্ধান্ত নেওয়া হলে এটি সব শুরু হয়েছিল, যা 70% উইন্ডোজ এবং 30% লিনাক্স। এই উদ্দেশ্যে, AWS EKS ক্লাউড পরিষেবাটিকে সম্ভাব্য বিকল্পগুলির মধ্যে একটি হিসাবে বিবেচনা করা হয়েছিল। 8 অক্টোবর, 2019 পর্যন্ত, AWS EKS উইন্ডোজ পাবলিক প্রিভিউতে ছিল, আমি এটি দিয়ে শুরু করেছি, সেখানে কুবারনেটসের পুরানো 1.11 সংস্করণ ব্যবহার করা হয়েছিল, কিন্তু আমি যেভাবেই হোক এটি পরীক্ষা করে দেখার সিদ্ধান্ত নিয়েছি এবং এই ক্লাউড পরিষেবাটি কোন পর্যায়ে ছিল, এটি কাজ করছে কিনা মোটেও, যেমনটি দেখা গেছে, না, পডগুলি অপসারণ করার সাথে একটি বাগ ছিল, যখন পুরানোগুলি উইন্ডোজ ওয়ার্কার নোডের মতো একই সাবনেট থেকে অভ্যন্তরীণ আইপি-এর মাধ্যমে প্রতিক্রিয়া দেওয়া বন্ধ করে দেয়।

তাই, একই EC2-তে kubernetes-এ আমাদের নিজস্ব ক্লাস্টারের পক্ষে AWS EKS-এর ব্যবহার ত্যাগ করার সিদ্ধান্ত নেওয়া হয়েছিল, শুধুমাত্র আমাদের ক্লাউডফর্মেশনের মাধ্যমে সমস্ত ভারসাম্য এবং HA নিজেদেরকে বর্ণনা করতে হবে।

আমাজন EKS উইন্ডোজ কন্টেইনার সমর্থন এখন সাধারণত উপলব্ধ

মার্টিন বিবি দ্বারা | 08 অক্টোবর 2019 তারিখে

আমার নিজের ক্লাস্টারের জন্য ক্লাউডফর্মেশনে একটি টেমপ্লেট যুক্ত করার সময় পাওয়ার আগে, আমি এই খবরটি দেখেছি আমাজন EKS উইন্ডোজ কন্টেইনার সমর্থন এখন সাধারণত উপলব্ধ

অবশ্যই, আমি আমার সমস্ত কাজ একপাশে রেখেছি এবং তারা GA এর জন্য কী করেছে এবং সর্বজনীন পূর্বরূপের সাথে কীভাবে সবকিছু পরিবর্তিত হয়েছে তা অধ্যয়ন করতে শুরু করেছি। হ্যাঁ, AWS, ভাল হয়েছে, উইন্ডোজ ওয়ার্কার নোডের জন্য ইমেজগুলি 1.14 সংস্করণে আপডেট করেছে, সেইসাথে ক্লাস্টার নিজেই, EKS-এ সংস্করণ 1.14, এখন উইন্ডোজ নোড সমর্থন করে। এ পাবলিক প্রিভিউ দ্বারা প্রকল্প github তারা এটিকে ঢেকে দিয়েছে এবং বলেছে এখন এখানে অফিসিয়াল ডকুমেন্টেশন ব্যবহার করুন: ইকেএস উইন্ডোজ সাপোর্ট

বর্তমান VPC এবং সাবনেটে একটি EKS ক্লাস্টার সংহত করা

সমস্ত সূত্রে, ঘোষণার পাশাপাশি ডকুমেন্টেশনে উপরের লিঙ্কে, মালিকানাধীন eksctl ইউটিলিটি বা CloudFormation + kubectl এর মাধ্যমে ক্লাস্টার স্থাপনের প্রস্তাব করা হয়েছিল, শুধুমাত্র Amazon-এ পাবলিক সাবনেট ব্যবহার করে, সেইসাথে একটি তৈরি করার জন্য একটি নতুন ক্লাস্টারের জন্য আলাদা VPC।

এই বিকল্পটি অনেকের জন্য উপযুক্ত নয়; প্রথমত, একটি পৃথক ভিপিসি মানে এর খরচের জন্য অতিরিক্ত খরচ + আপনার বর্তমান ভিপিসিতে ট্র্যাফিক পিয়ারিং। যাদের নিজেদের একাধিক AWS অ্যাকাউন্ট, ভিপিসি, সাবনেট, রুট টেবিল, ট্রানজিট গেটওয়ে ইত্যাদি সহ AWS-এ ইতিমধ্যে একটি তৈরি পরিকাঠামো রয়েছে তাদের কী করা উচিত? অবশ্যই, আপনি এই সব ভাঙতে বা পুনরায় করতে চান না, এবং আপনাকে নতুন EKS ক্লাস্টারকে বর্তমান নেটওয়ার্ক পরিকাঠামোতে সংহত করতে হবে, বিদ্যমান ভিপিসি ব্যবহার করে এবং আলাদা করার জন্য, ক্লাস্টারের জন্য সর্বাধিক নতুন সাবনেট তৈরি করতে হবে।

আমার ক্ষেত্রে, এই পথটি বেছে নেওয়া হয়েছিল, আমি বিদ্যমান ভিপিসি ব্যবহার করেছি, নতুন ক্লাস্টারের জন্য শুধুমাত্র 2টি পাবলিক সাবনেট এবং 2টি প্রাইভেট সাবনেট যোগ করেছি, অবশ্যই, সমস্ত নিয়ম ডকুমেন্টেশন অনুযায়ী বিবেচনায় নেওয়া হয়েছিল আপনার Amazon EKS ক্লাস্টার VPC তৈরি করুন.

এছাড়াও একটি শর্ত ছিল: EIP ব্যবহার করে পাবলিক সাবনেটে কোনো কর্মী নোড নেই।

eksctl বনাম ক্লাউডফর্মেশন

আমি এখনই একটি রিজার্ভেশন করব যে আমি একটি ক্লাস্টার স্থাপনের উভয় পদ্ধতিই চেষ্টা করেছি, উভয় ক্ষেত্রেই ছবি একই ছিল।

আমি শুধুমাত্র eksctl ব্যবহার করে একটি উদাহরণ দেখাব যেহেতু এখানে কোডটি ছোট হবে। eksctl ব্যবহার করে, 3 ধাপে ক্লাস্টার স্থাপন করুন:

1. আমরা নিজেই ক্লাস্টার + লিনাক্স ওয়ার্কার নোড তৈরি করি, যা পরে সিস্টেম কন্টেইনার এবং সেই একই দুর্ভাগ্যজনক vpc-কন্ট্রোলার হোস্ট করবে।

eksctl create cluster 
--name yyy 
--region www 
--version 1.14 
--vpc-private-subnets=subnet-xxxxx,subnet-xxxxx 
--vpc-public-subnets=subnet-xxxxx,subnet-xxxxx 
--asg-access 
--nodegroup-name linux-workers 
--node-type t3.small 
--node-volume-size 20 
--ssh-public-key wwwwwwww 
--nodes 1 
--nodes-min 1 
--nodes-max 2 
--node-ami auto 
--node-private-networking

একটি বিদ্যমান ভিপিসিতে স্থাপন করার জন্য, শুধু আপনার সাবনেটের আইডি নির্দিষ্ট করুন এবং eksctl নিজেই VPC নির্ধারণ করবে।

আপনার কর্মী নোডগুলি শুধুমাত্র একটি ব্যক্তিগত সাবনেটে স্থাপন করা হয়েছে তা নিশ্চিত করার জন্য, আপনাকে নোডগ্রুপের জন্য --node-private-networking উল্লেখ করতে হবে।

2. আমরা আমাদের ক্লাস্টারে vpc-নিয়ন্ত্রক ইনস্টল করি, যা তারপরে আমাদের কর্মী নোডগুলিকে প্রক্রিয়া করবে, বিনামূল্যে আইপি ঠিকানার সংখ্যা গণনা করবে, সেইসাথে উদাহরণে ENI-এর সংখ্যা, যোগ এবং অপসারণ করবে।

eksctl utils install-vpc-controllers --name yyy --approve

3. আপনার সিস্টেম কন্টেনারগুলি সফলভাবে আপনার লিনাক্স ওয়ার্কার নোডে চালু হওয়ার পরে, ভিপিসি-কন্ট্রোলার সহ, যা বাকি থাকে তা হল উইন্ডোজ কর্মীদের সাথে আরেকটি নোডগ্রুপ তৈরি করা।

eksctl create nodegroup 
--region www 
--cluster yyy 
--version 1.14 
--name windows-workers 
--node-type t3.small 
--ssh-public-key wwwwwwwwww 
--nodes 1 
--nodes-min 1 
--nodes-max 2 
--node-ami-family WindowsServer2019CoreContainer 
--node-ami ami-0573336fc96252d05 
--node-private-networking

আপনার নোড সফলভাবে আপনার ক্লাস্টারের সাথে সংযুক্ত হওয়ার পরে এবং সবকিছু ঠিক আছে বলে মনে হচ্ছে, এটি প্রস্তুত অবস্থায় আছে, কিন্তু না।

ভিপিসি-কন্ট্রোলারে ত্রুটি

যদি আমরা একটি উইন্ডোজ ওয়ার্কার নোডে পড চালানোর চেষ্টা করি, আমরা ত্রুটিটি পাব:

NetworkPlugin cni failed to teardown pod "windows-server-iis-7dcfc7c79b-4z4v7_default" network: failed to parse Kubernetes args: pod does not have label vpc.amazonaws.com/PrivateIPv4Address]

যদি আমরা গভীরভাবে তাকাই, আমরা দেখতে পাই যে AWS-তে আমাদের উদাহরণটি এইরকম দেখাচ্ছে:

এবং এটি এই মত হওয়া উচিত:

এটি থেকে এটি স্পষ্ট যে vpc-নিয়ন্ত্রক কিছু কারণে তার অংশটি পূরণ করেনি এবং উদাহরণে নতুন আইপি ঠিকানা যোগ করতে পারেনি যাতে পডগুলি সেগুলি ব্যবহার করতে পারে।

আসুন ভিপিসি-কন্ট্রোলার পডের লগগুলি দেখি এবং আমরা এটি দেখতে পাই:

kubectl লগ -n কুবে-সিস্টেম

I1011 06:32:03.910140       1 watcher.go:178] Node watcher processing node ip-10-xxx.ap-xxx.compute.internal.
I1011 06:32:03.910162       1 manager.go:109] Node manager adding node ip-10-xxx.ap-xxx.compute.internal with instanceID i-088xxxxx.
I1011 06:32:03.915238       1 watcher.go:238] Node watcher processing update on node ip-10-xxx.ap-xxx.compute.internal.
E1011 06:32:08.200423       1 manager.go:126] Node manager failed to get resource vpc.amazonaws.com/CIDRBlock  pool on node ip-10-xxx.ap-xxx.compute.internal: failed to find the route table for subnet subnet-0xxxx
E1011 06:32:08.201211       1 watcher.go:183] Node watcher failed to add node ip-10-xxx.ap-xxx.compute.internal: failed to find the route table for subnet subnet-0xxx
I1011 06:32:08.201229       1 watcher.go:259] Node watcher adding key ip-10-xxx.ap-xxx.compute.internal (0): failed to find the route table for subnet subnet-0xxxx
I1011 06:32:08.201302       1 manager.go:173] Node manager updating node ip-10-xxx.ap-xxx.compute.internal.
E1011 06:32:08.201313       1 watcher.go:242] Node watcher failed to update node ip-10-xxx.ap-xxx.compute.internal: node manager: failed to find node ip-10-xxx.ap-xxx.compute.internal.

Google-এ অনুসন্ধানগুলি কোনও কিছুর দিকে পরিচালিত করেনি, যেহেতু দৃশ্যত কেউ এখনও এই জাতীয় বাগ ধরেনি, বা এটিতে কোনও সমস্যা পোস্ট করেনি, তাই আমাকে প্রথমে বিকল্পগুলির কথা ভাবতে হয়েছিল। প্রথম যে জিনিসটি মাথায় এসেছিল তা হল সম্ভবত vpc-নিয়ন্ত্রক ip-10-xxx.ap-xxx.compute.internal সমাধান করতে পারে না এবং এটিতে পৌঁছাতে পারে এবং তাই ত্রুটি ঘটে।

হ্যাঁ, প্রকৃতপক্ষে, আমরা ভিপিসিতে কাস্টম ডিএনএস সার্ভার ব্যবহার করি এবং নীতিগতভাবে, আমরা অ্যামাজন ব্যবহার করি না, তাই এই ap-xxx.compute.internal ডোমেনের জন্য ফরওয়ার্ডিংও কনফিগার করা হয়নি। আমি এই বিকল্পটি পরীক্ষা করেছি, এবং এটি ফলাফল আনতে পারেনি, সম্ভবত পরীক্ষাটি পরিষ্কার ছিল না, এবং সেইজন্য, আরও, প্রযুক্তিগত সহায়তার সাথে যোগাযোগ করার সময়, আমি তাদের ধারণার কাছে হার মানলাম।

যেহেতু প্রকৃতপক্ষে কোন ধারণা ছিল না, সমস্ত নিরাপত্তা গোষ্ঠী eksctl নিজেই তৈরি করেছিল, তাই তাদের পরিষেবাযোগ্যতা সম্পর্কে কোন সন্দেহ নেই, রুট টেবিলগুলিও সঠিক ছিল, nat, dns, কর্মী নোডগুলির সাথে ইন্টারনেট অ্যাক্সেসও ছিল।

অধিকন্তু, আপনি যদি —node-private-networking ব্যবহার না করে একটি পাবলিক সাবনেটে একটি কর্মী নোড স্থাপন করেন, তাহলে এই নোডটি অবিলম্বে vpc-কন্ট্রোলার দ্বারা আপডেট করা হয় এবং সবকিছু ঘড়ির কাঁটার মতো কাজ করে।

দুটি বিকল্প ছিল:

1. এটি ছেড়ে দিন এবং অপেক্ষা করুন যতক্ষণ না কেউ AWS-এ এই বাগটি বর্ণনা করে এবং তারা এটি ঠিক করে, এবং তারপরে আপনি নিরাপদে AWS EKS উইন্ডোজ ব্যবহার করতে পারেন, কারণ তারা সবেমাত্র GA-তে প্রকাশ করেছে (এই নিবন্ধটি লেখার সময় 8 দিন কেটে গেছে), অনেকেই সম্ভবত আমার মত একই পথ অনুসরণ করুন.
2. AWS সাপোর্টে লিখুন এবং সব জায়গা থেকে একগুচ্ছ লগ নিয়ে তাদের সমস্যার সারমর্ম বলুন এবং তাদের কাছে প্রমাণ করুন যে আপনার ভিপিসি এবং সাবনেট ব্যবহার করার সময় তাদের পরিষেবা কাজ করে না, এটি কোনও কিছুর জন্য নয় যে আমাদের ব্যবসায়িক সহায়তা ছিল, আপনার ব্যবহার করা উচিত এটা অন্তত একবার :)

AWS ইঞ্জিনিয়ারদের সাথে যোগাযোগ

পোর্টালে একটি টিকিট তৈরি করার পরে, আমি ভুলবশত ওয়েব - ইমেল বা সহায়তা কেন্দ্রের মাধ্যমে আমাকে প্রতিক্রিয়া জানাতে বেছে নিয়েছি, এই বিকল্পের মাধ্যমে তারা কয়েক দিন পরে আপনাকে উত্তর দিতে পারে, যদিও আমার টিকিটের তীব্রতা - সিস্টেম দুর্বল ছিল, যা মানে <12 ঘন্টার মধ্যে একটি প্রতিক্রিয়া, এবং যেহেতু ব্যবসায়িক সহায়তা পরিকল্পনায় 24/7 সমর্থন রয়েছে, আমি সর্বোত্তম আশা করেছিলাম, কিন্তু এটি সর্বদা হিসাবে পরিণত হয়েছে।

আমার টিকিট শুক্রবার থেকে সোমবার পর্যন্ত অনির্ধারিত রেখে দেওয়া হয়েছিল, তারপর আমি তাদের আবার লিখতে সিদ্ধান্ত নিয়েছি এবং চ্যাট প্রতিক্রিয়া বিকল্পটি বেছে নিয়েছি। কিছুক্ষণ অপেক্ষা করার পর, হর্ষদ মাধবকে আমাকে দেখার জন্য নিযুক্ত করা হয়েছিল, এবং তারপর শুরু হয়েছিল ...

আমরা একটানা 3 ঘন্টা অনলাইনে এটির সাথে ডিবাগ করেছি, লগ স্থানান্তর করা, সমস্যাটি অনুকরণ করতে AWS পরীক্ষাগারে একই ক্লাস্টার স্থাপন করা, আমার পক্ষ থেকে ক্লাস্টারটি পুনরায় তৈরি করা এবং আরও অনেক কিছু, আমরা যে জিনিসটিতে এসেছি তা হল লগগুলিতে এটা স্পষ্ট যে রেজোল AWS অভ্যন্তরীণ ডোমেন নামগুলি কাজ করছে না, যা আমি উপরে লিখেছি, এবং হর্ষদ মাধব আমাকে ফরওয়ার্ডিং তৈরি করতে বলেছেন, অভিযোগ করা হয়েছে আমরা কাস্টম ডিএনএস ব্যবহার করি এবং এটি একটি সমস্যা হতে পারে।

ফরওয়ার্ড করা

ap-xxx.compute.internal  -> 10.x.x.2 (VPC CIDRBlock)
amazonaws.com -> 10.x.x.2 (VPC CIDRBlock)

এটিই করা হয়েছিল, দিনটি শেষ হয়েছিল। হর্ষদ মাধব এটি পরীক্ষা করার জন্য আবার লিখেছিলেন এবং এটি কাজ করা উচিত, কিন্তু না, রেজোলিউশনটি মোটেও সাহায্য করেনি।

তারপরে আরও 2 জন প্রকৌশলীর সাথে যোগাযোগ হয়েছিল, একজন কেবল চ্যাট থেকে বাদ পড়েছিলেন, দৃশ্যত তিনি একটি জটিল মামলার ভয় পেয়েছিলেন, দ্বিতীয়টি আবার আমার দিনটি ডিবাগিং, লগ পাঠানো, উভয় দিকে ক্লাস্টার তৈরি করার পুরো চক্রে কাটিয়েছে। শেষ তিনি ঠিক বলেছেন, এটা আমার জন্য কাজ করে, এখানে আমি অফিসিয়াল ডকুমেন্টেশনে ধাপে ধাপে সবকিছু করি এবং আপনি এবং আপনি সফল হবেন।

যার জন্য আমি বিনয়ের সাথে তাকে চলে যেতে বলেছিলাম এবং আমার টিকিটে অন্য কাউকে বরাদ্দ করতে বলেছিলাম যদি আপনি সমস্যাটি কোথায় দেখতে চান তা না জানেন।

লয়

তৃতীয় দিনে, একজন নতুন প্রকৌশলী অরুণ বি.কে আমার দায়িত্ব দেওয়া হয়েছিল, এবং তার সাথে যোগাযোগের শুরু থেকেই এটি অবিলম্বে স্পষ্ট হয়েছিল যে এটি আগের 3 জন প্রকৌশলী নয়। তিনি পুরো ইতিহাস পড়েন এবং অবিলম্বে ps1-এ তার নিজস্ব স্ক্রিপ্ট ব্যবহার করে লগগুলি সংগ্রহ করতে বলেন, যা তার গিথুবে ছিল। এটি আবার ক্লাস্টার তৈরি, কমান্ডের ফলাফল বের করা, লগ সংগ্রহ করার সমস্ত পুনরাবৃত্তির দ্বারা অনুসরণ করা হয়েছিল, কিন্তু অরুণ বি. আমাকে জিজ্ঞাসা করা প্রশ্নগুলির বিচার করে সঠিক দিকে এগোচ্ছিলেন।

আমরা কখন তাদের vpc-কন্ট্রোলারে -stderrthreshold=debug সক্ষম করার বিন্দুতে পৌঁছেছি এবং এরপর কী হয়েছিল? অবশ্যই এটি কাজ করে না) পডটি কেবল এই বিকল্পটি দিয়ে শুরু হয় না, শুধুমাত্র -stderrthreshold=info কাজ করে।

আমরা এখানে শেষ করেছি এবং অরুণ বি. বলেছেন যে তিনি একই ত্রুটি পেতে আমার পদক্ষেপগুলি পুনরুত্পাদন করার চেষ্টা করবেন৷ পরের দিন আমি অরুণ বি এর কাছ থেকে একটি প্রতিক্রিয়া পাই। তিনি এই মামলাটি পরিত্যাগ করেননি, তবে তাদের ভিপিসি-কন্ট্রোলারের পর্যালোচনা কোডটি নিয়েছিলেন এবং এটি কোথায় আছে এবং কেন এটি কাজ করে না তা খুঁজে পেয়েছি:

এইভাবে, আপনি যদি আপনার ভিপিসি-তে প্রধান রুট টেবিল ব্যবহার করেন, তবে ডিফল্টরূপে এটির প্রয়োজনীয় সাবনেটগুলির সাথে সম্পর্ক নেই, যা ভিপিসি-কন্ট্রোলারের জন্য এত প্রয়োজনীয়, একটি পাবলিক সাবনেটের ক্ষেত্রে, এটির একটি কাস্টম রুট টেবিল রয়েছে যে একটি সমিতি আছে.

প্রয়োজনীয় সাবনেটের সাথে প্রধান রুট টেবিলের জন্য ম্যানুয়ালি অ্যাসোসিয়েশন যোগ করে এবং নোডগ্রুপ পুনরায় তৈরি করে, সবকিছু পুরোপুরি কাজ করে।

আমি আশা করি যে অরুণ বি. সত্যিই এই বাগটি EKS ডেভেলপারদের কাছে রিপোর্ট করবে এবং আমরা vpc-কন্ট্রোলারের একটি নতুন সংস্করণ দেখতে পাব যেখানে সবকিছু বাক্সের বাইরে কাজ করবে। বর্তমানে সর্বশেষ সংস্করণ হল: 602401143452.dkr.ecr.ap-southeast-1.amazonaws.com/eks/vpc-resource-controller:0.2.1
এই সমস্যা আছে

যারা শেষ পর্যন্ত পড়েছেন তাদের সবাইকে ধন্যবাদ, বাস্তবায়নের আগে আপনি উত্পাদনে ব্যবহার করতে যাচ্ছেন এমন সবকিছু পরীক্ষা করুন।

উত্স: www.habr.com